PeopleXヘルプセンター

OktaでSSOを設定する

Oktaを会社のIdP（IDプロバイダー）にして、従業員がOktaのアカウントでPeopleX AI共通管理にログインできるようにする、Okta側の設定の手順です。

更新日

補足

管理者向けの記事です。Oktaでアプリ統合を作成できる管理者のアカウントが必要です。共通管理での操作には、共通管理の「管理者」の権限が必要です。

Oktaの画面の詳しい操作は、Oktaのヘルプ「SAMLアプリ統合を作成する（新しいタブで開きます）」を確認してください。Oktaの画面の表記は、予告なく変わることがあります。この記事では、Oktaの画面の項目を、日本語の表記と英語の表記で示します。

設定の流れ

  1. Oktaに、共通管理をSAMLアプリ統合として追加する（この記事）
  2. 共通管理にIdP連携を追加する
  3. 連携を開始する
  4. ポリシーで「SSOを使用する」をオンにする（セキュリティポリシーの機能がある企業だけ）
  5. ログインを確認する
  6. テストモードを終了する

2〜6の手順は、SSO（シングルサインオン）を設定するにあります。SSOの対象になる従業員や、うまくいかないときにパスワードでのログインに戻す方法も、その記事で確認してください。

SAMLアプリ統合を作成する

<subdomain> は自社のサブドメインに置き換えてください。サブドメインは、自社のログイン画面のURL（https://<subdomain>.account.peoplex.jp）で確認できます。

重要

属性ステートメントは、Oktaの画面では任意（optional）と表示されますが、共通管理との連携には必要です。設定しないと、Oktaでの認証は通っても、共通管理に戻ったところでログインに失敗します。

  1. Oktaの管理コンソールで「Applications and Resources」＞「アプリケーション（Applications）」を開き、「アプリ統合の作成（Create App Integration）」をクリックして、「クラシックエクスペリエンス（Classic experience）」を選びます。
  2. 「サインイン方法（Sign-in method）」で「SAML 2.0」を選び、「次へ（Next）」をクリックします。
  3. アプリ名（例: PeopleX AI共通管理）を入力し、「次へ（Next）」をクリックします。
  4. SAMLの設定に、次の値を入力します。
    • シングルサインオンURL（Single sign-on URL）：https://<subdomain>.account.peoplex.jp/api/sso/saml/acs
    • 対象URI（SPエンティティID）（Audience URI (SP Entity ID)）：https://<subdomain>.account.peoplex.jp/sp
    • 名前IDのフォーマット（Name ID format）：Persistent
    • 属性ステートメント（Attribute Statements）：名前（Name）に email、名前のフォーマット（Name format）に「基本（Basic）」、値（Value）に user.email を設定した行を1つ
  5. 「次へ（Next）」をクリックし、続く画面で「社内アプリを追加しているOktaユーザーです（I'm an Okta customer adding an internal app）」と「これは当社で作成した社内アプリです（This is an internal app that we have created）」を選んで、「終了（Finish）」をクリックします。

ユーザーをアプリに割り当てる

アプリに割り当てていないユーザーは、SSOを使えません。

  1. 作成したアプリの「割り当て（Assignments）」タブを開きます。
  2. 「割り当て（Assign）」から、SSOを使うユーザーかグループを割り当てます。

共通管理に登録する

作成したアプリの「サインオン（Sign On）」タブで、IdPのメタデータを表示し、署名の証明書をダウンロードします。次の値を、共通管理のIdP連携の欄に入力します。

Oktaの値共通管理の入力欄
IdPのメタデータの entityIDEntity ID
IdPのメタデータの SingleSignOnService の LocationSSO(シングルサインオン)URL
ダウンロードした証明書X.509証明書(PEM形式)

ダウンロードした証明書は、テキストエディタで開き、「-----BEGIN CERTIFICATE-----」から「-----END CERTIFICATE-----」までを貼り付けます。

「ドメイン」には、SSOでログインする従業員のメールアドレスのドメインを入力します。IdP連携の追加からテストモードの終了までは、共通管理の管理者がSSO（シングルサインオン）を設定するの手順で行います。

よくある質問

Q. Oktaの認証は通るのに、共通管理に戻ったところでログインに失敗します

A. 次を確認してください。

  • 属性ステートメントに、名前が email の行があるか
  • 「名前IDのフォーマット（Name ID format）」が Persistent になっているか
  • 「対象URI（SPエンティティID）（Audience URI (SP Entity ID)）」が https://<subdomain>.account.peoplex.jp/sp と完全に一致しているか
  • ログインしたアカウントと同じメールアドレスで、共通管理に従業員が登録され、アカウントを作成済みか
  • 共通管理に登録した「Entity ID」「SSO(シングルサインオン)URL」「X.509証明書(PEM形式)」が、Oktaの値と同じか

ほかの原因と対処は、従業員がSSOでログインできないときを確認してください。

Q. Okta End-User Dashboardからログインできません

A. Okta側から始めたログインには対応していません。共通管理のログイン画面（https://<subdomain>.account.peoplex.jp）から、ログインしてください。Okta側から始めると、ログイン画面に「自動的にログインできませんでした」と表示されます。その画面でメールアドレスを入力し、「SSOでログイン」をクリックすると、ログインできます。